Principales amenazas de Seguridad de la Información
La tecnología es cada vez más un aliado fundamental en los procesos productivos y administrativos de las organizaciones. Pero a medida que su uso se expande hacia más y nuevas soluciones, también crecen y se reproducen las amenazas a las que la empresa se ve expuesta.
Por ejemplo, actualmente, una de las principales y más novedosas amenazas es la que se deriva del BYOD (por el inglés Bring Your Own Device), el uso de dispositivos personales como laptops, tablets o smartphones, para fines profesionales. Se trata de una actividad relativamente nueva, ya que surge con el auge de los dispositivos móviles y que presenta como principal alerta el transporte de información que puede ser sensible en dispositivos de almacenamiento externo, es decir que implica también a los pendrives.
Por ejemplo, actualmente, una de las principales y más novedosas amenazas es la que se deriva del BYOD (por el inglés Bring Your Own Device), el uso de dispositivos personales como laptops, tablets o smartphones, para fines profesionales. Se trata de una actividad relativamente nueva, ya que surge con el auge de los dispositivos móviles y que presenta como principal alerta el transporte de información que puede ser sensible en dispositivos de almacenamiento externo, es decir que implica también a los pendrives.
Otra nueva amenaza son los riesgos de seguridad que conlleva una migración a la nube. La realidad es que no existe un conocimiento pleno del riesgo que esto puede acarrear, pero la posibilidad del acceso no autorizado a los datos almacenados y la pérdida de confidencialidadde los mismos es un factor determinante para una organización a la hora de optar por trasladar o no parte de las operaciones a la nube.
A las amenazas derivadas de las nuevas tecnologías se suman a otros riesgos de seguridad más tradicionales como los que surgen de una actividad social. Estos son los casos en los que el cibercriminal busca capturar información de distintas maneras para luego utilizarla en un ataque. Entre las técnicas principales se encuentra el “ShoulderSurfing” y la “Observación”, en los que se “espía” al usuario ya sea mirando “por arriba del hombro” o con métodos más complejos como binoculares o cámaras ocultas.
En la misma dirección se encuentra el “Eavesdropping” (o “parar la oreja”) en el que se intenta capturar información afinando el oído cuando se está cerca de conversaciones privadas.
Sin embargo, la más antigua y eficaz es la “ingeniería social” en la que el cibercriminal utiliza el teléfono o el mail para engañar al usuario haciéndole creer que es, por ejemplo, un empleado del banco o de sistemas de la misma empresa, para obtener información sensible.
En este sentido, también es importante destacar el aumento de las amenazas destinadas al robo de información. El phishing, junto al spam, la denegación de servicio, el robo de datos, el ransomware o malware, son algunos de los principales problemas de seguridad.
Ante la proliferación de amenazas, nuevas y conocidas, es fundamental entender la seguridad desde la gestión misma. Gestionar la Seguridad es una tarea ardua que debe ser ejecutada por especialistas quienes no sólo deben conocer a toda la organización, desde el punto de vista del negocio, sino también desde lo operativo.
Para el caso del BYOD, por ejemplo, es necesario establecer una política específica cuanto antes que considere la seguridad de los dispositivos móviles de manera integral, y establezcaestándares de acción ante distintas amenazas como puede ser la desaparición de un dispositivo.
En el caso de la migración a la nube, lo ideal sería integrar la solución en el sistema de administración de los principales proveedores de virtualización y computación en la nube para poder aplicar automáticamente la seguridad adecuada a todas las plataformas: físicas, virtuales y basadas en la nube. Otra medida lógica sería utilizar algún gateway de encriptación de datos corporativo que asegure la recepción, envío y almacenado de los datos en la nube.
Sin embargo, el eslabón clave, por ser el más débil, es el usuario. La gran mayoría de las amenazas implica en algún momento la participación de una persona. Por esta razón, para evitar o minimizar los riesgos de seguridad es de suma importancia concientizar sobre estos temas para asegurar que cada empleado entienda la importancia de la Seguridad de la Información y el valor estratégico que tiene la información dentro y fuera de la empresa.
En resumen, aún es muy baja la cantidad de organizaciones que utilizan tecnologías, metodologías, análisis de riesgos y políticas verdaderamente eficientes para protegerse contra las amenazas corporativas. Al no tener las medidas adecuadas, las compañías se arriesgan a asumir la pérdida de la información y, posiblemente, a enfrentar repercusiones legales, de imagen y de confianza ante sus clientes.
A las amenazas derivadas de las nuevas tecnologías se suman a otros riesgos de seguridad más tradicionales como los que surgen de una actividad social. Estos son los casos en los que el cibercriminal busca capturar información de distintas maneras para luego utilizarla en un ataque. Entre las técnicas principales se encuentra el “ShoulderSurfing” y la “Observación”, en los que se “espía” al usuario ya sea mirando “por arriba del hombro” o con métodos más complejos como binoculares o cámaras ocultas.
En la misma dirección se encuentra el “Eavesdropping” (o “parar la oreja”) en el que se intenta capturar información afinando el oído cuando se está cerca de conversaciones privadas.
Sin embargo, la más antigua y eficaz es la “ingeniería social” en la que el cibercriminal utiliza el teléfono o el mail para engañar al usuario haciéndole creer que es, por ejemplo, un empleado del banco o de sistemas de la misma empresa, para obtener información sensible.
En este sentido, también es importante destacar el aumento de las amenazas destinadas al robo de información. El phishing, junto al spam, la denegación de servicio, el robo de datos, el ransomware o malware, son algunos de los principales problemas de seguridad.
Ante la proliferación de amenazas, nuevas y conocidas, es fundamental entender la seguridad desde la gestión misma. Gestionar la Seguridad es una tarea ardua que debe ser ejecutada por especialistas quienes no sólo deben conocer a toda la organización, desde el punto de vista del negocio, sino también desde lo operativo.
Para el caso del BYOD, por ejemplo, es necesario establecer una política específica cuanto antes que considere la seguridad de los dispositivos móviles de manera integral, y establezcaestándares de acción ante distintas amenazas como puede ser la desaparición de un dispositivo.
En el caso de la migración a la nube, lo ideal sería integrar la solución en el sistema de administración de los principales proveedores de virtualización y computación en la nube para poder aplicar automáticamente la seguridad adecuada a todas las plataformas: físicas, virtuales y basadas en la nube. Otra medida lógica sería utilizar algún gateway de encriptación de datos corporativo que asegure la recepción, envío y almacenado de los datos en la nube.
Sin embargo, el eslabón clave, por ser el más débil, es el usuario. La gran mayoría de las amenazas implica en algún momento la participación de una persona. Por esta razón, para evitar o minimizar los riesgos de seguridad es de suma importancia concientizar sobre estos temas para asegurar que cada empleado entienda la importancia de la Seguridad de la Información y el valor estratégico que tiene la información dentro y fuera de la empresa.
En resumen, aún es muy baja la cantidad de organizaciones que utilizan tecnologías, metodologías, análisis de riesgos y políticas verdaderamente eficientes para protegerse contra las amenazas corporativas. Al no tener las medidas adecuadas, las compañías se arriesgan a asumir la pérdida de la información y, posiblemente, a enfrentar repercusiones legales, de imagen y de confianza ante sus clientes.
Comentarios
Publicar un comentario